CWE一覧に戻る
CWE-917

表現言語ステートメントで使用される特殊要素の不適切な中和(「表現言語インジェクション」)。

Improper Neutralization of Special Elements used in an Expression Language Statement ('Expression Language Injection')
脆弱性 作成中
JA

この製品は、Java Server Page (JSP)などのフレームワークで、上流のコンポーネントから外部から影響を受けた入力を使用して、式言語(EL)ステートメントのすべてまたは一部を構築しますが、実行前に意図したELステートメントを変更する可能性のある特殊な要素を中和していないか、誤って中和しています。

Java Server Page (JSP)のようなフレームワークでは、開発者が他の静的なコンテンツに実行可能な式を挿入することができます。開発者がこれらの表現が実行可能であることを認識していなかったり、無効にしなかったりした場合、攻撃者が表現を注入することができれば、コードの実行やその他の予期せぬ動作につながる可能性があります。

EN

The product constructs all or part of an expression language (EL) statement in a framework such as a Java Server Page (JSP) using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the intended EL statement before it is executed.

Frameworks such as Java Server Page (JSP) allow a developer to insert executable expressions within otherwise-static content. When the developer is not aware of the executable nature of these expressions and/or does not disable them, then if an attacker can inject expressions, this could lead to code execution or other unexpected behaviors.

Scope: Confidentiality / Impact: Read Application Data
Scope: Integrity / Impact: Execute Unauthorized Code or Commands
Avoid adding user-controlled data into an expression interpreter when possible.
If user-controlled data must be added to an expression interpreter, one or more of the following should be performed:
The framework or tooling might allow the developer to disable or deactivate the processing of EL expressions, such as setting the isELIgnored attribute for a JSP page to "true".
MITRE公式ページ — CWE-917